Axelar y Secret Network: hackeo del puente por $4,67 millones — vulnerabilidad de «minteo infinito» revelada
El 19 de junio, el proyecto de infraestructura blockchain Axelar confirmó oficialmente el hackeo del puente que conecta su red con el protocolo de privacidad Secret Network. El ataque, que duró siete días completos, pasó desapercibido hasta que el atacante retiró aproximadamente $4,67 millones explotando una vulnerabilidad crítica conocida como el «bug de acuñación infinita» (infinite-mint bug).
Detalles del ataque: cómo el hacker eludió la protección
El incidente fue analizado por el equipo de Common Prefix, desarrollador principal de Axelar. El error se encontró en el contrato inteligente ICS-20, una versión modificada de CW20-ICS20 que opera en el lado de Secret Network en la conexión Cosmos IBC. La vulnerabilidad consistía en que el algoritmo que crea activos «envueltos» (saToken — Secret-wrapped Axelar assets) no verificaba desde qué canal provenía la transacción entrante. Esto permitió al atacante fabricar depósitos y emitir tokens sin ningún respaldo real.
Para ejecutar el ataque, el hacker lanzó una nueva cadena en el ecosistema Cosmos con un único validador. Desde esta red controlada, envió paquetes con denominaciones falsas de activos, lo que efectivamente le permitió «imprimir» una cantidad ilimitada de tokens. El comité de emergencia de Axelar desconectó inmediatamente las conexiones Secret y Secret-SNIP para evitar más transferencias no autorizadas. El equipo coordina acciones con intercambios y autoridades policiales para rastrear los fondos robados y recuperarlos.
Consecuencias y reacción del mercado
Es importante destacar que el incidente afectó exclusivamente a las monedas saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB y sawstETH. El protocolo principal de Axelar, otras conexiones IBC y los activos nativos de Secret Network permanecieron intactos. Sin embargo, una vulnerabilidad en los puentes siempre es una señal de riesgo para todo el ecosistema.
A pesar de la impactante noticia, el mercado reaccionó de manera inesperada: el precio del token Secret (SCRT) subió casi un 6% en el momento, alcanzando los $0,06. Tras una corrección, el activo cotiza alrededor de $0,058, manteniendo un aumento diario de aproximadamente el 3%. La capitalización de mercado es de unos $20 millones. Sin embargo, cabe señalar que desde su máximo histórico en octubre de 2021 ($10,64), SCRT ha caído un 99,5%, lo que muestra la profundidad de la presión bajista actual sobre el activo.
Análisis de expertos
Este incidente es un recordatorio más de que los puentes siguen siendo el punto más vulnerable en la infraestructura DeFi. La vulnerabilidad de «acuñación infinita» es un error clásico pero peligroso en la lógica de los contratos, que surge cuando los desarrolladores no consideran la verificación de la fuente de datos. En este caso, la falta de validación del canal de entrada permitió al hacker eludir todos los mecanismos de protección. Para los inversores, esto es una señal: antes de usar soluciones entre cadenas, se debe analizar cuidadosamente la auditoría de los contratos inteligentes, especialmente aquellos que trabajan con «envolturas» de activos. El mercado parece haber descontado ya los riesgos en el precio de SCRT, pero la reputación a largo plazo del proyecto podría verse afectada si no se toman medidas radicales para reforzar la seguridad.